Datenschutzerklärung.

1. Verantwortliche Stelle

Verantwortlich für die Datenbearbeitung ist Rejhan Murati (Einzelunternehmen KIDESK), Freihofstrasse 6, 8575 Bürglen, Schweiz. Du erreichst uns per E-Mail an datenschutz@kidesk.ch.

2. Welche Daten wir bearbeiten

Wir bearbeiten nur die Daten, die wir tatsächlich brauchen, um KIDESK zu betreiben:

• Kontodaten: E-Mail, Name, Firma, Rolle, Sprache.
• Herkunft der Anmeldung: beim Erstellen eines Kontos halten wir fest, über welchen Kanal du zu uns gekommen bist — etwa die Klick-Kennung einer Anzeige, Kampagnen- Parameter aus dem Link oder die Domain der verweisenden Seite. Diese Angabe bleibt in unserer eigenen Datenbank und geht an niemanden sonst; sie sagt uns lediglich, welche Werbung wirkt. Nicht zu verwechseln mit den Meldungen an Google, Meta und TikTok weiter unten, die nur mit deiner Zustimmung erfolgen.
• Geschäftsdaten: Kunden, Aufträge, Offerten, Rechnungen, Belege, Stunden. Also die Daten, die du selbst in KIDESK anlegst.
• Nutzungsdaten: Login-Zeitstempel, Geräte- und Browser-Informationen, IP-Adresse, anonymisierte Klick- und Performance-Metriken.
• Zahlungsdaten: bearbeitet ausschliesslich durch Stripe (siehe unten); wir speichern nur die Stripe-Customer-ID und letzte 4 Ziffern der Karte.
• Support-Anfragen: Inhalt deiner Mails, Chat-Verläufe, Telefonnotizen.

3. Wozu wir die Daten brauchen

Vertragserfüllung (Art. 31 Abs. 2 lit. a revDSG): Bereitstellung der KIDESK-Plattform, Abrechnung, Support. Berechtigtes Interesse (Art. 31 Abs. 2 lit. d): Produktverbesserung, Sicherheit, Betrugsprävention. Einwilligung: Newsletter und Marketing-E-Mails (nur wenn du explizit zustimmst).

4. Wo deine Daten liegen

Deine Geschäftsdaten werden ausschliesslich in Rechenzentren innerhalb der EU und der Schweiz bearbeitet:

• Datenbank: Neon, Region eu-central-1 (Frankfurt, Deutschland).
• Anwendung: Vercel, Region fra1 (Frankfurt, Deutschland).
• Dateien und Belege: AWS S3, Regionen eu-central-1/2 (Frankfurt und Zürich); die Schlüssel für die Verschlüsselung liegen in AWS KMS in eu-central-2 (Zürich).
• KI-Verarbeitung: Google Vertex AI über den EU-Endpoint; die Anfragen werden innerhalb der EU verarbeitet (u. a. Frankfurt und Niederlande). Details in Ziff. 5.

Datenbanken sind verschlüsselt, Backups werden täglich erstellt und 30 Tage aufbewahrt. Transport-Verschlüsselung via TLS 1.3, At-rest-Verschlüsselung via AES-256. Für Bearbeitungen im EU-Raum gelten Auftragsverarbeitungsverträge und, wo nötig, die Standardvertragsklauseln; die EU verfügt aus Schweizer Sicht über einen angemessenen Datenschutz.

5. KI-Verarbeitung

Chat, Sprachmodus und Beleg-Erkennung von KIDESK laufen auf Google Vertex AImit Modellen der Gemini-Familie. Wir nutzen dafür ausschliesslich EU-Endpoints:

• Chat: EU-Multi-Region-Endpoint — Verarbeitung garantiert innerhalb der EU.
• Sprachmodus und Belege: europe-west3 (Frankfurt) bzw. europe-west4 (Niederlande).
• Spracherkennung: Google Speech-to-Text über den EU-Endpoint.

Inhalte werden ausschliesslich zur Beantwortung deiner Anfrage übertragen und danach nicht aufbewahrt. Google ist über das Google Cloud Data Processing Addendum vertraglich verpflichtet, deine Inhalte nicht für das Training von Modellen zu verwenden. Wir setzen für die KI-Verarbeitung keine Anbieter ausserhalb der EU und der Schweiz ein.

6. Mobile App (iOS)

Die KIDESK-App nutzt dieselben Kontodaten wie das Web und verarbeitet zusätzlich gerätebezogene Daten:

• Kamera & Fotos: Fotos, die du zu einem Auftrag aufnimmst oder auswählst, werden verschlüsselt auf unseren Servern (AWS S3, eu-central-1/2) gespeichert und dem jeweiligen Auftrag zugeordnet. Der Zugriff erfolgt nur nach deiner ausdrücklichen Freigabe.
• Mikrofon & Spracherkennung: Wenn du dem Assistenten etwas diktierst, wird deine Sprache über die Spracherkennung deines Geräts (auf iOS durch Apple) in Text umgewandelt. Dabei kann Audio zur Verarbeitung an Apple übermittelt werden; KIDESK speichert nur den erkannten Text, nicht die Audioaufnahme. Die Funktion ist optional und nur aktiv, während du sie nutzt.
• Push-Benachrichtigungen: Für Benachrichtigungen registrieren wir einen Geräte-Token über den Apple Push Notification service (APNs) bzw. den Expo-Push-Dienst. Du kannst Push jederzeit in den Geräteeinstellungen deaktivieren.
• Konto löschen: Du kannst dein Konto direkt in der App unter „Mehr → Konto löschen" löschen oder als Inhaber eines Betriebs die Löschung anstossen.

7. Auftragsbearbeiter

Wir setzen folgende Anbieter ein. Mit allen besteht ein Auftrags­bearbeitungsvertrag (AVV):

• Vercel Inc. (Hosting der Website und der Anwendung; Verarbeitung in der Region fra1, Frankfurt): Standardvertragsklauseln
• Neon Tech Inc. (Datenbank-Hosting, EU): DPA und EU-Datenresidenz
• Stripe Payments Europe Ltd. (Zahlungsabwicklung, Irland): eigener Verantwortlicher für Karten
• Resend Inc. (Transaktionale E-Mails, EU)
• Sentry GmbH (Fehler-Monitoring, EU-Region)
• AWS EMEA SARL (S3-Speicher + KMS, eu-central-1/2)
• Google Cloud EMEA Ltd. (Vertex AI + Spracherkennung, EU-Endpoints)
• Google Ireland Ltd. (Google Analytics auf der Marketing-Website, nur mit Zustimmung): Standardvertragsklauseln und EU-US Data Privacy Framework
• Meta Platforms Ireland Ltd. (Meta Pixel und Conversions API auf der Marketing-Website, nur mit Zustimmung): gemeinsame Verantwortlichkeit, Standardvertragsklauseln und EU-US Data Privacy Framework
• Apple Inc. (Push-Benachrichtigungen via APNs + Spracherkennung in der iOS-App, US): Standardvertragsklauseln
• Expo (650 Industries Inc.) (Push-Token-Vermittlung für die App, US): Standardvertragsklauseln

8. Cookies und Tracking

Funktional notwendige Cookies (Session, Spracheinstellung, Login) setzen wir immer. Performance-Metriken werden anonymisiert und ohne Cookies mit Vercel Web Analytics gesammelt.

Auf der Marketing-Website (kidesk.ch) nutzen wir Google Analytics 4, um zu sehen, welche Seiten gelesen werden und woher unsere Besucher kommen — aber nur, wenn du im Cookie-Banner ausdrücklich zustimmst (Art. 31 Abs. 1 revDSG). Ohne Zustimmung wird kein Google-Skript geladen und kein Cookie gesetzt. Mit Zustimmung setzt Google die Cookies _ga und _ga_* (Laufzeit bis zu zwei Jahre) und erhält Angaben zu deinem Besuch: aufgerufene Seiten, Verweisquelle, Gerät und Browser sowie eine gekürzte IP-Adresse — Google Analytics 4 speichert keine vollständigen IP-Adressen. Werbe- und Personalisierungs-Signale sind bei uns dauerhaft ausgeschaltet (Google Consent Mode: ad_storage, ad_user_data und ad_personalization stehen auf denied); wir schalten keine Google-Anzeigen. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; eine Übermittlung in die USA an Google LLC stützt sich auf Standardvertragsklauseln und das EU-US Data Privacy Framework. Die Ereignisdaten werden nach der in unserem Konto eingestellten Frist gelöscht. Du kannst die Erfassung zusätzlich mit dem Browser-Add-on von Google unterbinden: tools.google.com/dlpage/gaoptout. In der App (app.kidesk.ch) läuft kein Google Analytics.

Ebenfalls nur auf der Marketing-Website und ebenfalls nur mit deiner Zustimmung setzen wir das Meta Pixel (Facebook und Instagram) ein, um zu messen, ob unsere Werbung ankommt. Ohne Zustimmung wird kein Meta-Skript geladen und kein Cookie gesetzt. Mit Zustimmung setzt Meta die Cookies _fbp und _fbc (Laufzeit bis zu 90 Tage) und erhält Angaben zu deinem Besuch: aufgerufene Seiten, Verweisquelle, Gerät und Browser sowie deine IP-Adresse. Anbieter ist Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland; für die Verarbeitung sind wir und Meta gemeinsam verantwortlich, eine Übermittlung in die USA an Meta Platforms Inc. stützt sich auf Standardvertragsklauseln und das EU-US Data Privacy Framework. Wenn du über eine Meta-Anzeige zu uns gekommen bist und zugestimmt hast, melden wir nach abgeschlossener Registrierung zusätzlich serverseitig eine Conversion über die Conversions API von Meta (Klick-ID der Anzeige, gehashte E-Mail-Adresse, IP-Adresse, Browser-Information). Welche Anzeigen dir Meta zeigt, kannst du in deinen Meta-Werbeeinstellungen steuern. In der App (app.kidesk.ch) läuft kein Meta Pixel.

Ebenfalls nur auf der Marketing-Website und ebenfalls nur mit deiner Zustimmung setzen wir das TikTok Pixel ein, um die Wirksamkeit unserer Werbung zu messen. Ohne Zustimmung wird nichts an TikTok übertragen. Bei Zustimmung erhält TikTok Technology Limited (Irland) Informationen über deinen Besuch (aufgerufene Seiten, Geräte- und Browser-Informationen, gekürzte IP-Adresse); TikTok ist dafür eigenständig verantwortlich. In der App (app.kidesk.ch) gibt es kein Werbe-Pixel. Wenn du über eine TikTok-Anzeige zu uns gekommen bist und zugestimmt hast, melden wir nach abgeschlossener Registrierung serverseitig eine Conversion an TikTok (Klick-ID der Anzeige, gehashte E-Mail, IP-Adresse, Browser-Information) — damit wir wissen, welche Werbung funktioniert.

Deine Wahl kannst du jederzeit ändern: Cookie-Einstellungen zurücksetzen — danach erscheint das Banner erneut. Bereits gesetzte Google-, Meta- und TikTok-Cookies kannst du in den Einstellungen deines Browsers löschen.

9. Deine Rechte

Du hast jederzeit das Recht auf Auskunft (Art. 25 revDSG), Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Schreib uns an datenschutz@kidesk.ch. Wir antworten binnen 30 Tagen. Beschwerden kannst du beim EDÖB (edoeb.admin.ch) einreichen.

10. Aufbewahrung

Geschäftsdaten bleiben aktiv, solange dein Abo läuft. Nach Kündigung haben wir gesetzliche Aufbewahrungspflichten (OR Art. 958f: 10 Jahre für Rechnungen). Andere Daten werden 30 Tage nach Kündigung gelöscht; auf Anfrage auch sofort (vorbehaltlich gesetzlicher Pflichten).

11. Änderungen

Wir aktualisieren diese Erklärung, wenn sich Technik oder Gesetzeslage ändern. Wesentliche Änderungen kommunizieren wir per E-Mail mit 30 Tagen Vorlauf.